레볼루트, 해킹에 고객 정보·비트코인 거래내역 유출 '충격'

글로벌 핀테크 기업 레볼루트(Revolut)가 정부 기관을 사칭한 해커의 사기성 데이터 요청에 속아 부유층 고객들의 개인 정보와 비트코인 거래 내역을 넘긴 사실이 뒤늦게 밝혀져 충격을 주고 있다. 이번 사건은 금융 기관의 개인 정보 관리 및 정부 기관의 데이터 요청 처리 과정에 대한 심각한 의문을 제기하고 있다.

레볼루트는 지난 금요일, 고객들에게 보낸 통지문을 통해 이번 정보 유출 사실을 알렸다. 유출된 정보에는 고객들의 여권 또는 운전면허증 사본, 인증용 셀피, 이름, 생년월일, 직업, 주소, 전화번호, IBAN(국제은행계좌번호), 계좌 명세서 등이 포함될 수 있다고 밝혔다. 또한, 인출 기록 및 비트코인 활동을 포함한 전체 거래 내역까지 유출되었을 가능성을 시사했다. 다행히 고객의 자금, 비밀번호, PIN, 개인 키 등은 유출되지 않은 것으로 알려졌다.

이번 사태의 발단은 신뢰할 수 있는 정부 기관의 도메인 내에서 운영되는 승인되지 않은 이메일 주소로 발송된 데이터 요청이었다. 해당 요청에는 유효한 인증 정보까지 포함되어 있어 레볼루트 측은 이를 정상적인 요청으로 판단했던 것으로 보인다. 그러나 이후 레볼루트가 해당 기관에 직접 연락을 취한 결과, 해당 요청이 사기였음을 확인하고 즉시 관련 주소를 차단했으며, 고객 및 규제 당국에 통보 절차에 착수했다.

레볼루트 측은 어떤 기관이 사칭되었는지, 그리고 얼마나 많은 고객이 이번 사건으로 영향을 받았는지에 대한 구체적인 정보는 아직 공개하지 않았다. 다만, 이번 유출이 고액 자산 고객을 대상으로 이루어졌을 가능성이 제기되고 있으며, 온체인 분석가 ZachXBT의 폭로로 알려지게 되었다.

이번 사건은 현대 금융 시스템에서 고객으로부터 수집하는 정보의 양과, 정부 기관이 해당 정보에 접근을 요청할 때 적용되는 보안 절차에 대한 전반적인 재검토를 촉구하고 있다. 특히, 금융 기관들이 고객 확인(KYC) 및 자금 세탁 방지(AML) 규제를 준수하기 위해 방대한 개인 및 거래 기록을 수집하는 현실에서, 이러한 데이터베이스는 검증된 신원 정보와 암호화폐 활동을 연결할 경우 매우 민감한 정보가 된다.

마크 젤러(Marc Zeller) Aave Chan Initiative 설립자는 이번 사건이 발생하기 직전, 자신에게 추가 정보를 제공하지 않으면 계정을 폐쇄하겠다는 레볼루트의 통보를 받았다고 밝히며 강한 불만을 토로했다. 그는 "레볼루트가 나에게 '20일 안에 계정을 닫겠다'며 엄청난 양의 데이터를 요구한 직후 이런 일이 발생했다는 점이 분노스럽다"고 비판하며, 레볼루트가 해커들의 일을 대신 해준 격이 되었다고 지적했다.

비트코인 보유자들에게 이번 정보 유출은 단순한 금융 정보를 넘어선 심각한 위험을 초래할 수 있다. 비트코인 거래는 공개 블록체인에 기록되기 때문에, 특정 인물과 특정 활동을 연결하는 정보는 잠재적으로 해당 개인의 광범위한 온체인 활동을 파악하는 데 사용될 수 있다. 이는 개인의 금융 활동 추적뿐만 아니라, 프라이버시에 대한 심각한 침해로 이어질 수 있는 가능성을 내포하고 있다.

이번 사건은 금융 기술 기업들이 고객 데이터를 보호하기 위해 얼마나 강력하고 철저한 보안 시스템을 갖추고 있어야 하는지에 대한 경각심을 일깨우고 있다. 특히, 정부 기관의 데이터 요청에 대한 검증 절차를 더욱 강화하고, 의심스러운 요청에 대해서는 더욱 신중하고 다각적인 확인 절차를 거쳐야 할 필요성이 제기되고 있다. 또한, 이번 사건을 계기로 암호화폐 거래 정보가 개인 식별 정보와 연결될 경우 발생할 수 있는 위험에 대한 사회적 논의도 필요할 것으로 보인다.

레볼루트의 이번 결정은 단순히 기술적인 오류를 넘어, 금융 보안 및 개인 정보 보호 정책 전반에 걸쳐 중요한 교훈을 남겼다. 향후 유사한 사건의 재발을 방지하기 위한 금융 기관들의 철저한 보안 강화 노력과 함께, 정부 기관의 데이터 접근 권한 및 절차에 대한 명확한 가이드라인 마련이 시급한 과제로 떠오르고 있다.